DDoS 韌性測試會刻意產生流量，用來對您的防禦能力施加壓力。如果沒有適當授權，同樣的活動看起來與攻擊毫無二致，而且在許多司法管轄區，未經許可向系統傳送破壞性流量可能構成刑事犯罪。因此，授權絕非形式。它是讓測試合法、安全且有價值的基礎。本指南說明 DDoS 測試授權通常涉及哪些內容，以及在傳送任何流量之前需要哪些相關方同意。本文僅為一般資訊，不構成法律建議。
服務簡介
DDoS 測試授權是指，所有對目標系統擁有正當利益的相關方都已書面同意一項明確界定的測試。這通常包括服務的業務擁有者、技術擁有者，以及營運流量路徑中任何環節的服務商：代管公司、雲端平台、CDN、DDoS 緩解服務、ISP，有時還包括上游電信業者。擁有網域或支付代管費用，本身並不賦予您向服務商共用基礎設施傳送類攻擊流量的權利。許多雲端與 CDN 服務商都公布了測試政策；有些要求事先通知、使用經核准的廠商或遵守特定限制，有些則禁止某些測試類型。除許可之外，授權文件還記錄測試範圍：目標位址與主機名稱、流量類型、最大速率、時段、監控安排、各方指定聯絡人，以及測試須立即停止的條件。
適用對象
本指南適用於：
- 正在規劃首次 DDoS 韌性測試的資安與基礎設施負責人
- 仰賴 CDN 或緩解服務、希望驗證其是否如預期運作的企業
- 正在評估 DDoS 測試提案的採購團隊
- 在核准測試前需要確認法律與合約依據的管理者
有助釐清的問題
梳理授權事項，有助於釐清：
- 哪些系統歸您所有，哪些由需要取得其許可的服務商營運
- 服務商的測試政策是否對流量類型、速率或時間有所限制
- 誰可以隨時停止測試，以及如何聯繫到他們
- 哪些業務影響可以接受，哪些情況會觸發立即停止
包含內容
- 由對目標服務具有決定權的人員簽署的書面授權
- 範圍內 IP 位址、主機名稱以及流量路徑中各服務商的清單
- 審查每家服務商的測試政策，並在有要求時取得其書面核准或通知編號
- 明確的流量情境，以及每個情境的最大速率與持續時間
- 與業務團隊約定的測試時段，避開尖峰期與關鍵活動
- 雙方的指定聯絡人，以及經過測試的溝通管道
- 明確的停止條件，以及經確認可立即停止流量的方法
- 就監控、證據蒐集以及結果報告方式達成共識
不包含內容
- 在缺少擁有者或服務商授權的情況下對系統進行測試
- 關於刑事、合約或監管問題的法律建議
- 產生攻擊流量的操作說明
- 宣稱測試能證明系統可免於真實攻擊
適用時機
請在預定測試日期前數週開始授權工作，因為服務商的核准可能需要一些時間。每當目標、服務商或時段發生變化時，都應重新檢視授權；其中任何一項的變化都屬於範圍變更，而非非正式的調整。如果服務商拒絕核准測試，請尊重該決定並討論替代方案，例如測試非正式環境的複本，或改為審查設定。本文僅為一般資訊，不構成法律建議。
我們的方法
我們將授權視為專案的一部分，而不是事前的文書作業。範圍以書面方式確認，服務商要求會及早識別，並由客戶取得所需的任何第三方核准。我們的 DDoS Resilience Testing 服務在書面約定的限制內評估約定的中斷情境，提供受控觀察、韌性差距摘要以及依優先順序排列的建議。測試期間，指定聯絡人可以隨時暫停或停止工作。本專案針對測試時段內的約定環境提供證據，如有需要，修復或事件應變工作將另行確定範圍。請將授權文件包與最終報告一併保存；它記錄了取得結果時的條件，這在日後討論結果時相當重要。
常見問題
相關文章
立即開始
正在規劃 DDoS 測試，但不確定需要哪些核准？
請告訴我們您考慮測試的服務、相關服務商與時間安排。我們將協助您確定範圍以及所需的核准。
申請書面範圍說明